视频提供:昆山滴水信息技术有限公司官网地址:www.dtdishui.com论坛地址:www.dtdebug.comQQ交流群:49759272

本节内容VEH(向量化异常处理)内容回顾当用户异常产生后,内核函数KiDispatchException并不是像处理内核异常那样在0环直接进行处理,而是修正3环EIP为KiUserExceptionDispatcher函数后就结束了.
这样,当线程再次回到3环时,将会从KiUserExceptionDispatcher函数开始执行.
1、KiUserExceptionDispatcher函数分析1)调用RtlDispatchException查找并执行异常处理函数2)如果RtlDispatchException返回真,调用ZwContinue再次进入0环,但线程再次返回3环时,会从修正后的位置开始执行.
3)如果RtlDispatchException返回假,调用ZwRaiseException进行第二轮异常分发2、RtlDispatchException函数分析1)查找VEH链表(全局链表),如果有则调用2)查找SEH链表(局部链表,在堆栈中),如果有则调用注意:与内核调用时的区别!
3、VEH异常处理函数(参见课堂)4、总结:VEH异常的处理流程1)CPU捕获异常信息2)通过KiDispatchException进行分发(EIP=KiUserExceptionDispatcher)3)KiUserExceptionDispatcher调用RtlDispatchException4)RtlDispatchException查找VEH处理函数链表并调用相关处理函数5)代码返回到KiUserExceptionDispatcher6)调用ZwContinue再次进入0环(ZwContinue调用NtContinue,主要作用就是恢复_TRAP_FRAME然后通过_KiServiceExit返回到3环).
7)线程再次返回3环后,从修正后的位置开始执行课后练习:VIP会员可见